Kritisk sårbarhet i PHP: det här behöver vård- och omsorgsverksamheter kontrollera

Den 21 oktober 2026 publicerades två kritiska säkerhetsbrister i PHP, och cyberförsäkringsbolag har sedan dess mejlat sina kunder om dem. Här är vad bristerna gäller och vad ni behöver kontrollera, även om ni inte har en IT-avdelning.

Vad har hänt?

Sårbarheterna har beteckningarna CVE-2026-109618 och CVE-2026-109619 och kallas tillsammans PHP2Shell. Båda har allvarlighetsgraden 9,2 av 10. En angripare kan skicka särskilt utformade förfrågningar till en webbserver och få den att köra egen kod, utan lösenord och utan att vara inloggad. Säkerhetsföretag rapporterar att bristerna utnyttjades redan innan de blev offentliga.

PHP är programmeringsspråket bakom WordPress och en stor del av alla webbhotell. Har er hemsida byggts i WordPress eller ligger på ett vanligt webbhotell kör den med stor sannolikhet PHP.

Berörs vår verksamhet?

Gå igenom tre saker:

• Hemsidan. Ligger den i WordPress eller på ett webbhotell som one.com, Loopia eller Binero? Då kör den sannolikt PHP.
• Gamla webbhotell. Har ni bytt hemsida men aldrig sagt upp det gamla webbhotellet ligger de gamla filerna ofta kvar och kan fortfarande nås.
• Webbaserade system. Fråga leverantörerna av era journal-, löne- och ekonomisystem om de använder PHP.

Att sidan fungerar som vanligt säger ingenting. En sårbar server ser likadan ut som en uppdaterad.

Vad ska vi fråga leverantören?

Be om ett skriftligt svar på två frågor:

1. Använder ni PHP, och i så fall vilken exakt version?
2. Är uppdateringen installerad: PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller senare?

Kör leverantören PHP 8.1 eller äldre finns ingen rättning alls. Då behöver systemet uppgraderas eller stängas. Spara svaret. Försäkringsbolaget kan be om det, och vid en tillsyn kan IVO fråga hur ni hanterar informationssäkerhet.

Varför spelar det roll för en vård- och omsorgsverksamhet?

Familjehemsverksamheter, HVB, stödboenden och LSS-verksamheter hanterar sekretessmarkerade uppgifter, skyddad folkbokföring och hälsouppgifter. Ett intrång i ett system som lagrar sådant blir en personuppgiftsincident som enligt artikel 33 i dataskyddsförordningen ska anmälas till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar. Ligger ett kontaktformulär på en sårbar hemsida, till exempel för intresseanmälningar eller ansökningar, kan även de uppgifterna komma ut.

Så hanterar Omsio det här

Omsio använder inte PHP, varken i appen, i databasen eller på servrarna, och berörs inte av CVE-2026-109618 eller CVE-2026-109619. Ni behöver inte göra något i Omsio.

Akten skyddas också på andra sätt:

• Inloggning med BankID, och bara för inbjudna användare.
• Personnummer, hälsouppgifter och hotbildsbedömningar är låsta på databasnivå och visas bara i den detaljvy där en behörig användare öppnar dem.
• All data krypteras i vila och under överföring och lagras inom EU.
• Aktivitetsloggen visar vem som gjort vad, kan inte ändras och sparas i fem år.

Vill ni ha ett skriftligt intyg till försäkringsbolaget, kontakta oss så skickar vi ett.

Källa: Red Hat, CVE-2026-109618.